VPN・広告ブロックアプリがユーザーデータを密かに収集していた衝撃の実態

自分のスマートフォンを守ってくれるはずだったアプリが、実は正反対のことをしていた――そんな衝撃的な事実が明らかになりました。ここで問題になっているのは、VPN(仮想プライベートネットワーク)アプリと広告ブロックアプリです。EC大手やマーケティング会社から個人情報を守るために導入されたこれらのアプリが、逆にユーザーのデータを収集し、それらの企業へ提供していたというのです。

この強い主張の根拠となったのは、BuzzFeed Newsによる調査です。同メディアは、テック開発者や投資家向けの分析プラットフォームとして知られるSensor Tower社がリリースした製品を調査しました。その結果、AndroidおよびiOS向けの一部のVPN・広告ブロックアプリが、ユーザーの個人情報を記録し、Sensor Towerのサーバーへ送信していたことが判明したのです。Sensor Towerは、クロスプラットフォーム対応のデータ分析サービスを提供する企業です。

データ収集が確認されたアプリ一覧

• Luna VPN(Android / iOS)
• Adblock Focus(Android / iOS)
• Mobile Data(Android)
• Free and Unlimited VPN(Android)

あわせて読みたい:iOSでVPN接続を設定する手順

これらのアプリはどのようにして端末に危害を加えるのか?

そもそも、アプリがユーザーデータを自由に取得するには、端末のファイルやフォルダへの「ルートアクセス(root権限)」が必要です。この権限はGoogleやAppleの標準アプリにのみ与えられており、サードパーティ製アプリには原則として許可されていません。AndroidやiPhoneのファイルシステムへの完全なアクセスは、両社の規約やポリシーによって厳しく制限されています。

しかし、この制限には抜け穴があります。Sensor Tower系のアプリは、アプリのダウンロード後にサードパーティのウェブサイトから証明書をインストールするようユーザーに促すことで、この壁を突破します。具体的には、アプリ自体はインストール時点で特別な権限を要求せず、限定的な機能だけで動作します。その後、「追加機能を使いたければ追加の権限を許可して」とユーザーを巧みに誘導するのです。追加権限の一つがルートアクセスですが、多くのユーザーはそれが何を意味するのか理解していません。

例えばLuna VPNの場合、「YouTube上の広告をブロックできる」という追加機能(確かにYouTubeの広告は煩わしいものです)を提供する代わりに、ルートアクセス権限の許可を求めていました。

問題の組織であるSensor Towerは、無料の広告ブロックアプリやVPNを通じて、3,500万人以上からデータを収集してきたとされています。これらのアプリとSensor Towerの間に表面的なつながりはありませんが、Unlimited VPN、Luna VPN、Mobile Data、Adblock Focusの4アプリがSensor Tower所有であることが確認されました。4つのアプリすべてがGoogle Playストアでダウンロード可能で、AppleユーザーはApp StoreからAdblock FocusとLuna VPNの2つをインストールできました。

BuzzFeedが調査結果を公表し、GoogleとAppleの両社に連絡した後の現状としては、両社がこれらのアプリを調査中です。AppleはAdblock FocusをApp Storeから削除し、GoogleもMobile Dataを即座に削除しました。

あわせて読みたい:2020年版 Androidで使える広告ブロックアプリ ベスト5

VPNと広告ブロックアプリの本来の役割とは?

広告ブロックアプリは、広告の形で端末に侵入してくる特定のマルウェアをブロックするために設計されています。氏名、電話番号、住所、銀行情報といった個人情報や、閲覧履歴・購買パターンを収集してサーバーへ送信する悪質な広告から身を守るのが目的です。しかし、収集されたデータはサーバー側で分類され、最高額を提示した買い手に売却される恐れがあります。このデータはマーケティング目的で使われるほか、悪意ある第三者の手に渡れば、銀行情報の特定やアカウントへの不正アクセスに悪用されかねません。

VPNサービスも同様です。本来は自身のサーバーのIPアドレスでユーザーのIPをマスクし、訪問先サイトから購買履歴や閲覧情報を保護する役割を果たします。ところが、どのサイトやページをクリックしたかという情報が保存・整理され、クライアント向けに販売されているなら、VPNを導入する意味はまったく果たされていません。むしろVPNなしでインターネットを利用する方がましでしょう。少なくとも、自分がどのサイトを訪れ、そこで何が売られ、どんな広告が表示されているかを把握できるのですから。

例えば、経営に関する専門講座を受講しようと考えていれば、関連する大学や教育機関の広告が表示されるのは自然なことです。しかし、一度も検索したこともない電子レンジの広告ばかり目につくようになったら?それは不審に思うべきサインかもしれません。

あわせて読みたい:2020年版 Netflixで使える有料・無料VPNのおすすめ

BuzzFeedはどうやってデータ収集を見破ったのか?

BuzzFeedが行った調査の詳細な手法は公表されていません。ただ、分かっている範囲では、調査員がまずこれらのアプリに含まれる特定のコードを発見しました。そのコードは、Sensor Towerで働いていた数名の開発者によって書かれたものでした。さらに掘り下げると、開発者個人のウェブサイトやオンライン履歴書などの情報とSensor Towerとのつながりが浮かび上がったといいます。

追加の調査により、Sensor Towerは「匿名化された利用状況・分析データのみを収集しており、自社製品のマーケティングに活用している」と事実を認めました。前述の通り、Sensor Towerはインテリジェンスプラットフォームを運営しており、世界中の開発者、パブリッシャー、ベンチャーキャピタルなどがアプリの利用トレンド、人気度、収益を把握するために利用しています。こうしたトレンドは無作為に生み出せるものではなく、実際のデータから抽出・分析する必要があります。だからこそ、Sensor Towerはそもそもこれらのアプリを作ったのです。

AppleがApp Storeからアプリを削除するのは今回が初めてではありません。以前にも、Sensor Towerに遡ることができる約12個のアプリがポリシー違反により削除されています。ただし今回は、問題のLuna VPNとAdblock FocusがSensor Towerと直接結びつけられていない点が異なります。

専門家はVPN・広告ブロックアプリのアンインストールについてどう述べているか?

BuzzFeed Newsに掲載されたコメントによると、MalwareBytes所属のAmrando Orozco氏は「Android端末のroot権限にアクセスできるアプリは、ユーザーにとって重大な脅威になり得る」と指摘しています。

一方、Sensor Towerでモバイルインサイト部門を統括するRandy Nelson氏は、競争上の理由からアプリの所有者を非公開にしていたと説明しました。またNelson氏は、同社が機微なデータやユーザーの個人情報を収集していないことをBuzzFeed Newsに保証しています。

スマホからVPN・広告ブロックアプリをアンインストールすべきか?

まずやるべきこと①:該当アプリの確認と削除

最初に、そして最も重要なのは、上記のアプリが自分の端末にインストールされていないか確認することです。もし入っていれば、今すぐアンインストールしてください。Google PlayやApp Storeで入手できなかった場合、サードパーティのソースからサイドロード(直接インストール)している可能性もあります。

②:開発元の確認

これらのアプリは、データトラッキング機能やSensor Towerとの関係を明記していません。まだ発見されていない類似アプリが、あなたの端末からデータを収集し続けている可能性もあります。PCやスマホにVPN・広告ブロックアプリをインストールしているなら、Googleで開発元を検索してみてください。Sensor Towerだと判明したら、直ちに削除しましょう。また、端末内の無料アプリも見直すことをおすすめします。GoogleやAppleの標準アプリについては安心できますが、それ以外の無料アプリはすべて疑ってかかるべきです。

自問してみてください。「なぜ誰かが私にアプリを無料でくれるのだろう?」と。

③:権限要求のチェック

新しいアプリをインストールするときは、アプリが求めるすべての権限と、それが機能に本当に必要かどうかを必ず確認してください。例えば、広告ブロックアプリにブラウザへのアクセスは必要でも、ファイルやフォルダへのアクセスは不要なはずです。同様に、VPNにカメラへのアクセスは一切必要ありません。不要な権限を求めてきたら拒否し、即座にアプリをアンインストールしましょう。

インストール時の権限を確認する際は、特にrootアクセス権限の要求に注意してください。この権限を与えると、アプリはファイル、フォルダ、アプリを含む端末内の全データに直接アクセスできるようになります。さらに危険なことに、端末上で何でも自由に操作できる状態になってしまうのです。

最後に:まとめ

まとめると、BuzzFeedは巧妙な調査により、一部のアプリがデータを収集し、マーケティングトレンドの観察や戦略立案に利用していることを突き止めました。整理されたデータは情報へと変わり、全体または一部が分析目的で他者に売却されます。購入した企業は顧客の期待を正確に把握できるため、マーケティング戦略を成功させやすくなるわけです。

私は、あらゆるアプリをインストール前に徹底的にチェック・レビューすべきだと考えています。そして今回の調査は、「人生における無料のものには注意が必要だ」という信念をさらに強固なものにしてくれました。

本記事へのご感想は、ぜひコメント欄でお聞かせください。FacebookページやYouTubeチャンネルの登録もお願いします。最新のテクノロジー記事をお届けします。